Anmeldung als Admin trotz deaktivierter Registrierung

Hallo wertes Wordpress-Forum,

ich habe für unseren Verein eine Seite in Wordpress erstellt. Diese Seite bekommt immer die aktuellsten Updates von Wordpress.

Heute habe ich eine Mail erhalten, dass sich ein neue Nutzer angemeldet hat. Dies konnte kein normaler Nutzer sein, da ich die Option Registrierung deaktiviert hatte!

Und ja, es hat sich jemand gleich zweimal angemeldet und das sogar als Admin! Wie kann ich solche Möglichkeiten der Registrierung unterbinden?

Eine Lösung mittels -htaccess möchte ich wegen der Benutzerfreundlichkeit ausschliessen.

Ein Plugin für Login-Versuche habe ich installiert. Aber im Log-File viel mir auf, dass gezielte Eingaben vorgenommen wurden, um eine erfolgreiche Registrierung zu bekommen.

beispiel: POST /wp-cron.php?doing_wp_cron=1541683846.5564339160919189453125 HTTP/1.1" 200 20 "http://www.xxxxxxxx.de/wp-cron.php?doing_wp_cron=1541683846.5564339160919189453125" "WordPress/4.9.8; http://www.xxxxxxxx.de"

Ich bin kein richtiger Programmierer und kann das nicht richtig deuten. Aber das sieht mir schon nach Hacking-Code aus. Zumindest passt die zeit des Anmeldens mit dieser Zeile überein.

Habe zunächst den Nutzer wieder gelöscht. Aber ich denke es ist eine Frage der Zeit, dass er sich erneut anmeldet.

Könnte eventuell auch schon infizierte Dateien auf dem Content abegelegt worden sein?

Vielen Dank im Voraus.

Viele Grüße Mike